Załšcznik do Zarz¹dzenia Nr 1090/BIO/05

Załącznik do Zarządzenia Nr 1090/BIO/05
Prezydenta Miasta Kędzierzyn-Koźle z dnia 18 stycznia 2005r.
Instrukcja zarządzania systemem informatycznym,
służącym do przetwarzania danych osobowych
oraz postępowania w przypadku naruszenia ochrony
danych osobowych w Urzędzie Miasta Kędzierzyn-Koźle
Opracował: Grzegorz Dysarz
Ilekroć w instrukcji mowa jest o Administratorze Danych należy przez to rozumieć
Prezydenta Miasta Kędzierzyn-Koźle.
Ilekroć w instrukcji mowa jest o Administratorze Bezpieczeństwa Informacji należy przez
to rozumieć Kierownika Biura Informatyki i Ochrony Informacji Urzędu Miasta odpowiedzialnego za
bezpieczeństwo danych osobowych
w systemie informatycznym, w tym w szczególności za
przeciwdziałanie dostępowi osób niepowołanych do systemu, w którym przetwarzane są dane
osobowe, oraz za podejmowanie odpowiednich działań w przypadku wykrycia naruszeń w systemie
zabezpieczeń.
Ilekroć w instrukcji mowa jest Administratorze systemu (odcinka systemu, aplikacji)
należy przez to rozumieć pracowników Biura Informatyki i Ochrony Informacji administrujących
serwerami i systemami w których przetwarzane są dane osobowe
Ilekroć w instrukcji mowa jest Kierownikach komórek organizacyjnych należy przez to
rozumieć kierowników wydziałów, biur , referatów oraz pracowników samodzielnych Urzędu Miasta
Kędzierzyn-Koźle
Ilekroć w instrukcji jest mowa o:
danych osobowych - rozumie się przez to wszelkie informacje dotyczące zidentyfikowanej lub
możliwej do zidentyfikowania osoby fizycznej.
zbiorze danych - rozumie się przez to każdy posiadający strukturę zestaw danych o charakterze
osobowym, dostępnych według określonych kryteriów, niezależnie od tego, czy zestaw ten jest
rozproszony lub podzielony funkcjonalnie,
przetwarzaniu danych - rozumie się przez to jakiekolwiek operacje wykonywane na danych
osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie,
udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych,
usuwaniu danych - rozumie się przez to zniszczenie danych osobowych lub taką ich modyfikację,
która nie pozwoli na ustalenie tożsamości osoby, której dane dotyczą,
zgodzie osoby - której dane dotyczą - rozumie się przez to oświadczenie woli, którego treścią jest
zgoda na przetwarzanie danych osobowych tego, kto składa oświadczenie; zgoda nie może być
domniemana lub dorozumiana z oświadczenia woli o innej treści.
bezpieczeństwie systemu informatycznego - należy przez to rozumieć wdrożone środki
fizyczne, techniczne i administracyjne służące zabezpieczeniu zasobów- technicznych oraz
ochronie przed modyfikacją, zniszczeniem, nieuprawnionym dostępem i ujawnieniem lub
pozyskaniem danych osobowych, a także ich utratą,
naruszeniu systemu bezpieczeństwa -jest to zarówno odstępstwo od obowiązujących procedur
postępowania, zawartych we wspomnianych wyżej dokumentach, jak i bezprawne, fizyczne naruszenia
zasobów i bez względu na skutek jaki te zdarzenia spowodowały.
osobach nieupoważnionych do korzystania z danych zawartych w zbiorze - są to wszystkie osoby
fizyczne, prawne i jednostki nie posiadające osobowości prawnej, które bez upoważnienia
administratora
danych miały potencjalną możliwość lub faktycznie uzyskały w jakiejkolwiek formie dostęp
do danych.
Instrukcja określa zasady:
1. zarządzania systemem informatycznym służącym do przetwarzania danych osobowych
zgodnie ze strategią określoną w „Polityce bezpieczeństwa systemu informatycznego"
wprowadzoną w życie Zarządzeniem Nr 1030/BIO/04 Prezydenta Miasta KędzierzynKoźle z dnia 15 grudnia 2004r.
2. Postępowania w przypadku naruszenia ochrony danych osobowych
Dokument stanowi specyfikację podstawowych środków technicznych ochrony danych oraz
elementów zarządzania systemem informatycznym.
W przypadku wystąpienia potrzeb
wprowadzenia nowych lub modyfikacji istniejących uregulowań proceduralnych danego
obszaru, wnioski o ich opracowanie powinni składać kierownicy komórek w których
procedury są używane do administratora bezpieczeństwa informacji. Zasady zawarte w
niniejszym dokumencie oraz określone w odrębnych dokumentach powinny być udostępniane
pracownikom na poszczególnych stanowiskach tylko w niezbędnym zakresie. Za wdrożenie
procedur w komórkach organizacyjnych odpowiedzialni są ich kierownicy,.
Obowiązki wynikające z dokumentów dotyczących zarządzania systemem informatycznym oraz
zasady ochrony danych osobowych należy określać w indywidualnych zakresach czynności
pracowników -odpowiednio do zadań wykonywanych na zajmowanym stanowisku.
1. System informatyczny i jego zasoby
System informatyczny stanowią środki przetwarzania informacji wraz ze związanymi z nim ludźmi
oraz
zasobami
technicznymi
i
finansowymi,
czyli
urządzeniami
komputerowymi
i
niekomputerowymi do przetwarzania danych osobowych i informacji z nimi związanych.
Przetwarzanie informacji, w tym danych osobowych obejmuje operacje polegające na ich
zbieraniu, utrwalaniu, zmianie, przechowywaniu, opracowywaniu, udostępnianiu i usuwaniu
1.1 Nazwa zbiorów danych osobowych, w których dane osobowe są przetwarzane:
„Wykaz dzierżawców i użytkowników wieczystych, Świadczenia osobiste, Ochotnicze drużyny
ratownicze, Formacje obrony cywilnej, Działalność gospodarcza, Zezwolenia na trzymanie
psów ras uznanych za agresywne, Dane Wydziału Ochrony Środowiska i Infrastruktury,
Zezwolenia na zajęcie pasa drogowego, Wnioski o ukaranie przez kolegium ds. wykroczeń
oraz postępowanie mandatowe w sprawach o wykroczenia, Ewidencja ludności i dowody
osobiste, Urząd Stanu Cywilnego, Spis danych radnych rady miasta, Spis danych
przewodniczących organów wykonawczych jednostek pomocniczych, Rejestr płatników opłaty
za wieczyste użytkowanie i czynszu za dzierżawy gruntu, Zbiór podatników i płatników oraz
uczestników postępowania w zakresie podatków i opłat lokalnych, Decyzje dotyczące imprez
masowych Rejestracja imprez, Wykaz nauczycieli i pracowników obsługi: przedszkoli, szkół
podstawowych i gimnazjów, Przetargi na dokumentację i roboty budowlane i remontowe,,
Ustalenie własności gruntu na podstawie informacji terenowo-prawnej, wypisu z rejestru
gruntów, odpisu z księgi wieczystej,, Dodatki mieszkaniowe, Uzależnienia od alkoholu,
Rejestr decyzji o warunkach zabudowy i zagospodarowania terenu, Wykaz decyzji w
indywidualnych sprawach dotyczących zagospodarowania terenu,”
2. Określenie miejsca przetwarzania danych w systemie informatycznym.
Miejscem przetwarzania danych osobowych są pomieszczenia pracy komórek organizacyjnych
Urzędu Miasta budynki przy ul. Piramowicza 32, oficyna, Piastowskiej 15, Piastowskiej 17,
Planetorza 2.
3. Środki techniczne.
3.1 Sieć komputerowa.
Infrastruktura sieciowa składa się z okablowania strukturalnego w budynkach urzędu miasta z
wydzieloną siecią internetową (separacja logiczna i fizyczna) oraz instalacją zasilającą urządzenia
komputerowe.
Sieci LAN Urzędu Miasta składają się z następujących elementów:
•
komputery,
•
media sieciowe,
•
urządzenia sieciowe
Do elementów media sieciowe zaliczamy okablowanie strukturalne wykonane w kategorii 5.
Medium, o którym mowa , jest nieekranowaną skrętka kategorii 5 (Cat 5 UTP), do której
należy również rodzina kabli kategorii 5e. Jako urządzenia sieciowe należy rozumieć
koncentratory i przełączniki. Komputery w rozumieniu infrastruktury są serwerami
przechowywania danych i/lub serwerami aplikacji.
3.2 Sprzęt komputerowy.
W systemie informatycznym urzędu miasta wykorzystywany jest sprzęt komputerowy
określony w szczegółowej specyfikacji technicznej prowadzonej przez administratora
systemu.
3.3 Inne środki przetwarzania.
•
Drukarki
•
Skanery
•
Modemy
•
Niszczarki dokumentów
•
Urządzenia niekomputerowe inne (dokumenty papierowe, skoroszyty, meblowe wyposażenie
pokoi).
3.4 Aplikacje i rejestry.
W skład systemu informatycznego wchodzą aplikacje użytkowe ujęte w szczegółowej
specyfikacji technicznej prowadzonej przez administratora systemu oraz kartoteki, decyzje i
rejestry prowadzone ręcznie lub komputerowo przy użyciu aplikacji biurowych (pakiet MS
Office) w komórkach organizacyjnych urzędu.
4. Identyfikatory, hasła, prawa dostępu.
4.1 Przydział identyfikatorów dla użytkowników.
Użytkownik otrzymuje identyfikator, który identyfikuje go w systemie informatycznym. Bez jego
posiadania użytkownik nie może pracować w systemie. Administrator systemu przydziela
identyfikatory
dla użytkowników na podstawie pisemnego wniosku
właściwego kierownika komórki
organizacyjnej urzędu w celu uaktualnienia ewidencji osób zatrudnionych przy przetwarzaniu
danych osobowych zgodnie z art. 37 i 39 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych
osobowych (j. t. Dz.U. z 2002 r. Nr 101 poz. 926 z późn. zmianami). Wzór wniosku określa
załącznik nr. 1 do instrukcji.
Administrator systemu informatycznego (odcinka systemu, aplikacji) przechowuje dokument
(wniosek)
stanowiący
podstawę
przydziału
(zablokowania)
identyfikatora
i
dokonuje
odpowiedniego wpisu do prowadzonego rejestru użytkowników systemu informatycznego
4.2 Przydział haseł dla użytkowników.
Pierwsze hasło dla użytkownika jest zakładane przez administratora systemu podczas
wprowadzania jego identyfikatora do systemu. Następnie użytkownik powinien zmienić hasło wg
określonych zasad:
•
hasło jest obowiązkowe dla każdego użytkownika posiadającego identyfikator w systemie.
•
hasło jest zakładane jednocześnie z utworzeniem identyfikatora dla użytkownika.
•
po założeniu hasła przez administratora systemu, użytkownik ma obowiązek zarejestrować
się
do
systemu i zmienić hasło,
•
hasło jest ciągiem 8 znaków, które nie powinny być łatwe do zidentyfikowania (nie należy
używać
jako hasła np. imienia, daty urodzenia własnej, dzieci ani współmałżonka)
•
hasło objęte jest tajemnicą - użytkownik nie może go ujawnić.
•
przy wpisywaniu hasła nie jest ono wyświetlane na ekranie.
•
w przypadku ujawnienia hasła musi ono zostać niezwłocznie zmienione.
•
hasło musi być zmieniane przynajmniej raz w miesiącu,
•
użytkownik odpowiada za systematyczną zmianę haseł,
•
hasła użytkowników muszą być zapisywane w systemie w postaci zaszyfrowanej.
Kartoteki, decyzje, rejestry itp. tworzone za pomocą aplikacji biurowych (pakiet MS Office) są
chronione przy użyciu haseł systemowych i haseł zakładanych przez użytkownika dla
poszczególnych dokumentów wg instrukcji dostępnej w pakiecie MS Office.
4.3 Zarządzanie hasłami użytkowników.
Hasła użytkowników należą do nich samych. Są one objęte tajemnicą i nikt poza właścicielami
haseł nie
może ich znać. Hasło musi być zmieniane przez użytkownika nie rzadziej niż raz w miesiącu.
Odpowiedzialność za okresowe zmiany hasła ciąży na użytkowniku - właścicielu hasła. W
przypadku
potrzeby zabezpieczenia dostępu do systemu kierownik komórki organizacyjnej decyduje o
deponowaniu
hasła.
4.4 Postępowanie z hasłami systemowymi.
Hasła systemowe są to hasła specjalnych użytkowników w systemie operacyjnym serwera. Dają
one bardzo szerokie uprawnienia i pozwalają na wykonanie każdego działania w systemie - z tego
względu podlegają szczególnej ochronie.
Hasła systemowe przechowywane są w miejscach ogólnie niedostępnych w Biurze Informatyki i
Ochrony Informacji.
4.5 Przydzielanie użytkownikowi praw dostępu do systemu informatycznego.
Nadawanie praw dostępu do systemu informatycznego jest dokonywane przez administratora
systemu lub aplikacji na podstawie wniosku kierownika komórki organizacyjnej urzędu. Nadane
uprawnienia pozwalają na wykonanie określonego zakresu prac.
5. Wejście do systemu / wyjście z systemu.
5.1 Rejestrowanie i wy rejestrowanie użytkowników.
Rejestrowanie użytkownika odbywa się obowiązkowo gdy rozpoczyna on prace w systemie. Polega
na wprowadzeniu identyfikatora, objętego tajemnicą i znanego tylko użytkowników i hasła, na
podstawie których system stwierdza tożsamość użytkownika. Po poprawnym zarejestrowaniu
użytkownik może wykonywać wszystkie czynności, na jakie pozwalają przydzielone mu prawa
dostępu.
5.2 Rozpoczęcie i zakończenie pracy.
Rozpoczęcie pracy w systemie informatycznym wymaga wykonania następujących czynności:
•
włączenia komputera,
•
po załadowaniu systemu operacyjnego uruchomienia oprogramowania komunikacyjnego.
•
rejestracji w systemie informatycznym.
•
po pozytywnym przejściu procedury uwierzytelnienia - uzyskanie dostępu do
systemu.
Po zakończeniu pracy w systemie należy:
•
wyrejestrować się z systemu,
•
zakończyć działanie oprogramowania komunikacyjnego,
•
zakończyć pracę systemu operacyjnego.
•
wyłączyć komputer.
6. Kopie i nośniki
6.1 Sposób i częstotliwość tworzenia awaryjnych kopii baz danych.
Awaryjne kopie baz danych należy tworzyć w celu zabezpieczenia zbiorów danych osobowych
przed niezamierzoną ich utratą oraz możliwością ich odtworzenia. Przechowywane awaryjne kopie
baz danych muszą być ewidencjonowane i aktualizowane przez administratora systemu lub
użytkowników.
Sposób tworzenia kopii baz danych jest zróżnicowany w zależności od rodzaju aplikacji
użytkowej.
Pełna kopia bazy danych powinna być sporządzana raz na tydzień, natomiast kopia
przyrostowa raz na dzień. O ile aplikacja użytkowa nie zezwala na tworzenie kopii
przyrostowych, należy wykonywać pełną kopię bazy danych dwa razy w tygodniu.
Powinno istnieć nie mniej niż 5 zestawów kopii zapisywanych jeden po drugim,
jednak zestaw może zostać użyły ponownie po okresie nie krótszym niż 4 tygodnie.
Kopia systemu operacyjnego powinna być wykonywana po każdej modyfikacji,
zmianie konfiguracji i instalacji nowej wersji oprogramowania na serwerze. Powinny
istnieć przynajmniej dwa zestawy takiej kopii zapisywane naprzemiennie
7. Przechowywanie wydruków.
W przypadku wykonywania wydruków ze zbioru danych osobowych wykonawca jest zobowiązany
do zachowania wszelkich niezbędnych działań w celu niedopuszczenia do ich nieuprawnionego
ujawnienia lub utraty a w szczególności do nie pozostawiania ich niezamkniętych bez dozoru.
8. Sieć komputerowa.
8.1 Postępowanie w zakresie komunikacji w lokalnej sieci komputerowej.
Przetwarzanie danych osobowych w urzędzie miasta jest możliwe przy wykorzystaniu tylko
wewnętrznej sieci komputerowej, po zastosowaniu procedur dopuszczających poszczególnych
wykonawców do dostępu do zbioru danych lub ich części, umożliwiających identyfikację osób.
c/as pracy na zbiorach danych osobowych oraz wykonywane czynności przez użytkownika.
Administrator sieci LAN prowadzi całą dokumentację eksploatacji sieci, w której rejestruje
podłączone do sieci urządzenia.
9. Zasady korzystania z komputerów przenośnych.
Za bezpieczeństwo komputera przenośnego odpowiedzialny jest jego użytkownik.
Osoba użytkująca przenośny komputer, na którym przetwarzane są dane należące do systemu
informatycznego zobowiązana jest zachować szczególną ostrożność podczas transportu
i przechowywania go poza strefą przetwarzania danych i nie powinna zezwalać na korzystanie z
niego
osobom nieupoważnionym. Komputer taki powinien być zabezpieczony hasłem dostępu.
10. Zasady korzystania z monitorów komputerowych.
W pomieszczeniach, w których odbywa się przetwarzanie danych osobowych a jednocześnie mają
do tych pomieszczeń dostęp osoby postronne, monitory urządzeń komputerowych muszą być
ustawione w taki sposób, by informacje na nich wyświetlane nie były widoczne dla osób
postronnych.
Ekrany monitorów muszą być automatycznie wygaszane w przypadku dłuższej niż 3 min.
nieaktywności użytkownika. Wygaszacz powinien być chroniony hasłem.
11. Zasady instalacji oprogramowania.
11.1 Instalacja nowego oprogramowania i jego aktualizacja na serwerze.
Dopuszcza się instalację nowego oprogramowania do przetwarzania danych osobowych lub
aktualizacji
istniejących pod warunkiem spełnienia określonych wymagań. Instalacji oprogramowania lub
aktualizacji
dokonuje administrator systemu lub osoba przez niego upoważniona, odnotowuje ten fakt
w prowadzonym dzienniku pracy serwerów i systemu stanowiącym załącznik nr. 2 do instrukcji .
11.2 Instalacja oprogramowania na komputerach.
Na
wszystkich
komputerach
urzędu
miasta
dopuszcza
się
instalację
tylko
legalnego,
licencjonowanego oprogramowania. Dopuszczone do zainstalowania programy użytkowe do
przetwarzania danych osobowych obejmuje odrębny rejestr. Zabrania się instalowania
oprogramowania bez zgody administratora systemu.
12. Zasady dokonywania napraw.
12.1 Dokonywanie napraw, przeglądów i konserwacji systemu przez pracowników serwisu.
Działania pracowników serwisu muszą odbywać się w obecności administratora systemu lub osoby
przez niego upoważnionej. Przeglądów należy dokonywać nie rzadziej niż raz na kwartał. Fakt
dokonania napraw, przeglądów lub konserwacji musi być udokumentowany w dokumentacji
systemu.
12.2 Postępowanie z uszkodzonymi nośnikami magnetycznymi zawierającymi dane osobowe.
Uszkodzone nośniki magnetyczne lub inne zawierające dane osobowe nie mogą być użytkowane.
Muszą być odpowiednio zabezpieczone przed nieuprawnionym udostępnieniem a następnie
zniszczone lub naprawione pod nadzorem osoby upoważnionej przez administratora danych
osobowych.
13. Profilaktyka antywirusowa i legalność oprogramowania.
Każdy użytkownik komputera w urzędzie miasta zobowiązany jest do używania w pracy dyskietek
i CD zakupionych przez Urząd (nie prywatnych) i przechowywania na nich tylko i wyłącznie
danych związanych z charakterem pracy.
Minimum raz w tygodniu aktualną wersją programu antywirusowego powinien być przez
użytkownika sprawdzony każdy komputer.
Na wszystkich komputerach urzędu miasta dopuszcza się instalację tylko legalnego,
licencjonowanego oprogramowania wykonywaną przez uprawnionych pracowników komórki
informatyki.
Za samowolne zainstalowanie oprogramowania odpowiada użytkownik.
14. Zasady korzystania z internetu.
Przy korzystaniu z internetu w urzędzie miasta należy stosować następujące zasady:
•
z
wnioskiem
uzasadniającym
potrzebę
wyposażenia
stanowiska
pracy
u
oprogramowanie
i urządzenia techniczne umożliwiające korzystanie z zasobów internetu występuje
kierownik komórki organizacyjnej.
•
komputer wykorzystywany do połączeń z internetem nie może być
równocześnie
podłączony do sieci lokalnej
•
po zakończeniu sesji należy sprawdzić komputer programem antyw irusowym.
Dyskietki lub CD przekazywane urzędowi miasta z mogą być odczytywane na komputerach,
TYLKO I WYŁĄCZNIE PO WCZEŚNIEJSZYM SPRAWDZENIU PROGRAMEM ANTYWIRUSOWYM.
15. Prowadzenie dziennika pracy serwerów i systemu.
Dziennik pracy systemu jest prowadzony dla każdego z serwerów wchodzących w skład
systemu informatycznego. Za jego prowadzenie odpowiedzialny jest administrator systemu
lub osoba przez niego upoważniona. Do dziennika wpisywane są daty i godziny wykonania
następujących czynności:
•
włączanie serwera,
•
wyłączanie serwera,
•
instalowanie oprogramowania,
•
instalowania programów aktualizujących (upgrade'ów)
•
przejście na zasilanie awaryjne,
•
wykonanie pełnych kopii aplikacji i sprawdzenie poprawności.
•
obsługa prewencyjna serwera,
•
komunikaty błędów,
•
wszystkie inne sytuacje awaryjne i odbiegające od normy.
16. Urządzenia podtrzymujące zasilanie.
Wszystkie serwery pracujące w urzędzie miasta muszą być wyposażone w zasilacze awaryjne.
Zasilacze te muszą być wyposażone w mechanizm umożliwiający bezpieczne wyłączenie serwera,
poprzedzone prawidłowym zakończeniem rozpoczętych operacji i zamknięciem baz danych.
17. Ochrona obiektu.
17.1 Zabezpieczenie fizyczne pomieszczeń, w których odbywa się przetwarzanie danych.
Pomieszczenia, w których znajdują się urządzenia komputerowe i niekomputerowc umożliwiające
dostęp do systemu informatycznego służącego do przetwarzania danych osobowych muszą być
zamykane. Sposób zabezpieczeń musi uwzględniać zasady ochrony fizycznej przewidziane dla
informacji stanowiących tajemnicę służbową, w powiązaniu z którymi dane osobowe występują.
Odpowiedzialność za właściwą ochronę pomieszczeń ponosi kierownik komórki organizacyjnej.
17.2 Zabezpieczenie elementów lokalnej sieci komputerowej.
Dostęp do infrastruktury technicznej związanej z siecią komputerową i jej zasilaniem nie może być
możliwy dla osób postronnych. Rozdzielnie elektryczne i skrzynki z bezpiecznikami muszą
posiadać skuteczne zamknięcia uniemożliwiające otwarcie przez osoby postronne. Klucze do nich
powinny być w dyspozycji osoby odpowiedzialnej za instalacje energetyczne w budynku.
17.3 Instalacje alarmowe i przeciwwłamaniowe.
Instalacja alarmowa uzupełnia system zabezpieczeń fizycznych, umożliwiając skuteczną ochronę
przed
kradzieżą sprzętu i danych oraz jego zniszczeniem.
Instalacja alarmowa musi objąć pomieszczenia, w których pracują urządzenia wsystemie ciągłym,
nie wyłączane w czasie godzin nocnych i w dni wolne od pracy.
Sygnalizatory instalacji alarmowych należy połączyć w sposób umożliwiając) reagowanie
odpowiednich
służb.
18. Postępowanie w przypadku naruszenia ochrony danych osobowych.
Każdy, kto ma uzasadnione przypuszczenie o popełnieniu przestępstwa, bądź
wykroczenia
przeciw
ochronie
danych
osobowych
jest
obowiązany
do
niezwłocznego
poinformowania o tym fakcie administratora bezpieczeństwa informacji, osoby przez niego
wyznaczonej l u b innego przełożonego w jednostce organizacyjnej. Zatajanie tych informacji lub
utrudnianie postępowania wyjaśniającego stanowi poważne naruszenie obowiązków pracowniczych
wraz ze wszelkimi konsekwencjami wynikającymi z obowiązujących unormowań prawnych.
Każda informacja o naruszeniu systemu bezpieczeństwa, pochodząca z któregokolwiek źródła,
wymaga od administratora bezpieczeństwa informacji wszczęcia postępowania wyjaśniającego,
aby określić:
a) czas naruszenia systemu zabezpieczeń,
b) charakter,
c) miejsce,
d) sposób,
e) skutki,
f) w jaki sposób usunąć i/lub zminimalizować skutki,
g) jakie dodatkowe środki należy zastosować w celach profilaktycznych.
h) sprawcę i cel, gdy istnieje ku temu możliwość.
Naruszenie systemu zabezpieczeń może mieć charakter:
a) wewnętrzny lub zewnętrzny,
b) incydentalny lub chroniczny,
c) nieświadomy lub zamierzony.
Miejscem zagrożenia bezpieczeństwa systemu może być:
a) strefa przetwarzania zasobów,
b) sprzęt komputerowy i inne urządzenia wykorzystywane przy przetwarzaniu.
c) oprogramowanie systemowe, sieciowe i użytkowe,
d) zawartość baz danych, rejestrów, ewidencji i innych dokumentów.
Sposób naruszenia bezpieczeństwa to:
a) osłabienie odporności systemu zabezpieczeń, w szczególności tworzenie potencjalnych
zagrożeń dla
systemu (np. niezamykanie pomieszczeń i/lub sejfów, pozostawianie dokumentacji i lub
dostępu do
aplikacji na opuszczonym stanowisku pracy albo wynoszenie poza chronioną strefę,
samowolna instalacja
niedozwolonych programów i/lub sprzętu na lokalnych stanowiskach pracy. itp.).
b) nieuprawnione "przeglądanie", sporządzanie notatek, wyciągów, raportów, kopii. itp..
c) zmiana
zawartości
zgromadzonych
danych
naruszająca
ich
integralność
i/lub
wiarygodność.
d) usunięcie części danych lub ich uszkodzenie,
e) fizyczne zniszczenie zasobów, kradzież sprzętu i/lub oprogramowania,
f) przekazywanie zgromadzonych danych osobom nieuprawnionym do ich posiadania.
Następstwami naruszenia systemu bezpieczeństwa mogą być:
a) stworzenie warunków zagrożenia bezpieczeństwa zasobów.
b) utrata wiarygodności i spójności informacji zawartych w bazach danych.
c) utrudnianie lub uniemożliwienie realizacji przetwarzania zasobów.
d) udostępnienie danych osobom nieupoważnionym,
e) wykorzystanie danych osobowych do celów innych niż określa ustawa upoważniająca
do ich gromadzenia i przetwarzania,
f) naruszenie dóbr osobistych osób, których dane zawarte są w prowadzonych bazach.
g) narażenie na straty finansów publicznych.
Naruszenie systemu zabezpieczeń należy rozpatrywać w dwóch aspektach, wymagających
odmiennych działań administratora bezpieczeństwa informacji. Tok postępowania jest uzależniony
od tego, czy w następstwie zakłócenia ochrony danych osobowych zostały one ujawnione osobie
nieuprawnionej.
W takim przypadku należy niezwłocznie powołać komisję dla pełnego zbadania
przyczyn i skutków przestępstwa, ustalenia , sprawcy i stopnia jego winy oraz wielkości
poniesionych strat. Jest to podstawą zarówno do wszczynania postępowania wobec winnych jak i
minimalizacji i/lub napraw} poniesionych szkód, a także działań eliminujących tego typu
zdarzenia w przyszłości.
Tryb ten obowiązuje również w razie stwierdzenia świadomego uszkodzenia, zniszczenia bądź
bezzasadnej modyfikacji zasobów, nawet wówczas, gdy nie zostały one udostępnione osobom
nieuprawnionym do ich posiadania. Zakończeniem postępowania wyjaśniającego jest sporządzenie
protokołu podpisanego przez członków komisji
Postępowanie w pozostałych wypadkach nie wymaga powoływania komisji. Decyzję w
tym zakresie podejmuje administrator bezpieczeństwa informacji. W razie niewielkich strat
wystarczą rutynowe działania służb informatycznych pozwalające na usunięcie awarii przez
serwis, odtworzenie uszkodzonych zasobów, pouczenie użytkownika, ponowna analiza systemu
zabezpieczeń i ich poprawienie. Zdarzenie takie powinno być odnotowane w dzienniku pracy
systemu, a po usunięciu winno zostać skontrolowane przez administratora bezpieczeństwa
informacji i fakt ten także powinien zostać odnotowany.
Poważniejsze uszkodzenia struktur danych wynikające z błędów aplikacji wymagają
podjęcia szybkich działań przez analityków i programistów aplikacji oraz zastosowania doraźnych
działań eliminujących źródła awarii, o których każdorazowo należy powiadamiać administratora
bezpieczeństwa informacji i które powinny także zostać odnotowane w dzienniku pracy systemu.
ZAŁĄCZNIK 1
do instrukcji zarządzania systemem informatycznym
służącym do przetwarzania danych osobowych oraz postępowania
w przypadku naruszenia ochrony danych osobowych
w Urzędzie Miasta Kędzierzyn-Koźle
ZGŁOSZENIE UŻYTKOWNIKA DO PRACY
PRZY PRZETWARZANIU DANYCH OSOBOWYCH W SYSTEMIE
INFORMATYCZNYM
Lp.
Nazwisko i
Imię
Komórka
Organizacyjna
Podsystem/Uprawnienia
data
Podpis
bezpośredniego
przełożonego
ZAŁĄCZNIK 2
do instrukcji zarządzania systemem informatycznym
służącym do przetwarzania danych osobowych oraz postępowania
w przypadku naruszenia ochrony danych osobowych
w Urzędzie Miasta Kędzierzyn-Koźle
DZIENNIK PRACY SERWERÓW I SYSTEMU
Lp
Data
Zdarzenie
Godz.
rozpoczęcia
Godz.
zakończenia
Rezultat
Podpis
administratora